Czy dopuszczalne jest przetwarzanie danych kandydatów do pracy po niepomyślnej rekrutacji, dla odparcia ewentualnych zarzutów, iż doszło do dyskryminacji w zatrudnieniu? Czy jednak brak stosunku pracy oznacza brak istnienia przesłanki pozwalającej przetwarzać dane osobowe, zatem firma powinna dane ubiegających się o zatrudnienie natychmiast usunąć — więc późniejsze przetwarzanie danych będzie miało charakter „na zapas”?
nieprawomocny wyrok WSA w Warszawie z 4 sierpnia 2022 r. (II SA/Wa 542/22)
Usuwanie danych osób, które nie zostały zatrudnione niezwłocznie po zakończeniu rekrutacji, istotnie uniemożliwiałoby realizację ich praw związanych z naruszeniem zasad równego traktowania. Tym samym pracodawca nie mógłby realizować obowiązku przeciwdziałania dyskryminacji, poprzez brak możliwości nadzoru nad transparentnością procesów rekrutacji.
Sprawa zaczęła się od przeprowadzonej rekrutacji na stanowisko pracy, w ramach której kandydatka przesłała do niedoszłego pracodawcy, poprzez stronę internetową, odpowiednie dokumenty. Rekrutacja zakończyła się niepomyślnie już na wstępnym etapie (spółka nie zaprosiła kobiety nawet na rozmowę), zatem kandydatka zażądała usunięcia swego profilu i danych osobowych. Firma odmówiła spełnienia żądania, wskazując, że dane zostały zablokowane (nie będzie otrzymywać ofert pracy w przyszłości, zaś zasadniczo pracownicy nie mają do nich dostępu), jednak będą nadal przetwarzane m.in. w celu obrony przed ewentualnymi roszczeniami (związanymi np. z dyskryminacją przy zatrudnianiu), a finalnie zostaną usunięte zgodnie z polityką retencji danych. Kobieta zapytała zatem administratora o ową politykę retencyjną i planowany czas przetwarzania danych, podstawę przetwarzania danych po cofnięciu zgody, a także o to czy dane zostały udostępnione innym podmiotom; w odpowiedzi firma wyjaśniła, że nie jest w stanie podać dokładnego czasu przechowywania danych, ale na pewno je usunie jak tylko będzie to możliwe i uzasadnione; kobieta ponowiła więc żądanie usunięcia danych osobowych i zwróciła uwagę, że nie uzyskała informacji nt. udostępniania jej danych na zewnątrz; spółka znów odparła, że usunięcie nie jest możliwe i odesłała do lektury polityki prywatności; ex-kandydatka ponowiła swe pytania (dokładając pytanie o przetwarzanie w „chmurze” i przekazywanie do zagranicznych oddziałów pracodawcy); spółka ponowiła wcześniejsze wyjaśnienia; toteż kobieta jeszcze raz spytała czy „nadal, po pół roku” od otrzymania żądania dane przetwarza i zażądała odpowiedzi na swój zestaw pytań; spółka ponowiła wcześniejsze wyjaśnienia; ale kwartał później dane zebrane w związku z rekrutacją zostały usunięte, o czym zainteresowana została powiadomiona, podobnie jak o tym, że jej dane osobowe będą nadal przetwarzane, acz już na potrzeby postępowania prowadzonego przez PUODO…
W wydanej decyzji urząd stwierdził, że niedoszły pracodawca dopuścił się m.in. bezpodstawnego przetwarzania danych po zakończeniu procesu rekrutacyjnego: okres przetwarzania danych powinien być znany z góry, a nie określany w trakcie przetwarzania, zaś tak czy inaczej dane kandydata do pracy powinny być usunięte natychmiast po zakończeniu procesu rekrutacji. Doszło zatem do niedopuszczalnego przetwarzania danych „na zapas” — bo obrona przed ewentualnymi (hipotetycznymi i mogącymi się wykrystalizować w przyszłości) roszczeniami nie mieści się w żadnej z przesłanek przetwarzania.
art. 12 ust. 2 lit. a) rozporządzenia 679/2016 o ochronie danych osobowych
Poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania:
a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
art. 15 ust. 1 lit. d) RODO
Osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji:
d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
W skardze kasacyjnej spółka zwróciła uwagę, że taka interpretacja pozbawia ją możliwości zbierania dowodów koniecznych dla prowadzenia obrony przed ewentualnymi zarzutami kandydatów związanych z naruszeniem obowiązku równego traktowania i zakazu dyskryminacji w zatrudnianiu.
art. 291 par. 1 kodeksu pracy
Roszczenia ze stosunku pracy ulegają przedawnieniu z upływem 3 lat od dnia, w którym roszczenie stało się wymagalne.
Zabezpieczenie się przed procesami może wymagać późniejszego przetwarzania osób ubiegających się o zatrudnienie, zaś okres przetwarzania wyznaczają okresy przedawnienia roszczeń pracowniczych.
Argumenty te podzielił Wojewódzki Sąd Administracyjny: przetwarzanie danych osobowych powinno opierać się na jednej z przesłanek wskazanych w art. 6 ust. 1 RODO; katalog tych przesłanek nie jest zamknięty, acz każda z nich ma charakter autonomiczny i niezależny (są one sobie równoprawne). Oznacza to, że zgoda osoby nie jest jedyną podstawą przetwarzania jej danych osobowych, a administrator może przetwarzać dane w celach niezbędnych do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią (o ile nie przeważają interesy lub podstawowe prawa i wolności osoby). Przesłanka wskazana w art. 6 ust. 1 lit. f) RODO ma charakter „swoistej klauzuli generalnej”, albowiem prawnie uzasadniony interes nie może być wywodzony ze szczególnego przepisu prawa (w przeciwnym razie byłaby ona konkurencyjna wobec art. 6 ust. 1 lit. c) oraz lit. e)).
W przesłance tej mieści się przetwarzanie danych kandydatów po niepomyślnej rekrutacji, przez niedoszłego pracodawcę, w celu odparcia ewentualnych roszczeń wynikających z naruszenia zakazu dyskryminacji, które jest dozwolone — aż do momentu przedawnienia roszczeń pracowniczych. Przetwarzanie takie nie następuje „na zapas” (co innego gdyby okres przetwarzania wyszedł poza termin przedawnienia), nie można też mówić o naruszeniu podstawowych praw i wolności kandydata do zatrudnienia — ponieważ prawu do sądu zawsze musi towarzyszyć prawo do obrony. Nie ma przy tym znaczenia czy kandydatka rzeczywiście roszczenia takie wysunęła — istotne jest to, że obowiązek przedstawienia dowodów, iż nie doszło do dyskryminacji pracowniczej, spoczywa na pracodawcy (art. 18(3b) par. 1 kp), zaś odwrócenie ciężaru dowodu pozwala na wysnucie istnienia przesłanki wskazanej w art. 6 ust. 1 lit. f) RODO.
Stwierdzając, iż okoliczność taka uzasadnia przetwarzanie po rekrutacji danych wszystkich kandydatów — bo tylko dzięki możliwości porównania sytuacji wszystkich aplikujących o stanowisko można odnieść się do potencjalnych zarzutów, WSA uchylił zaskarżoną decyzję.